CVE-2024-11333: podatność Stored XSS w wtyczce HLS Player dla WordPress

Co wiadomo

Wtyczka HLS Player dla WordPress do wersji 1.0.10 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode 'hls_player', wynikającą z niewystarczającej sanitizacji i escapowania danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, defacementu strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Atakujący z uprawnieniami współtwórcy mogą wstrzykiwać złośliwy kod, co stanowi zagrożenie dla integralności i poufności danych oraz może wpłynąć na zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki HLS Player i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference